Если из рабочего ящика уходят неизвестные письма, появились чужие правила пересылки или изменились контакты восстановления, действуйте как при возможном захвате аккаунта. Одной смены пароля может быть недостаточно: у злоумышленника могут остаться активные сеансы или разрешения приложений.
Сначала восстановите контроль
- Свяжитесь с администратором или поддержкой почтового сервиса по известному каналу.
- Используйте доверенное устройство; не вводите новый пароль на компьютере с признаками заражения.
- Смените пароль и завершите доступные активные сеансы.
- Проверьте и перевыпустите факторы входа и резервные коды при необходимости.
- Проверьте контакты восстановления, делегированный доступ, приложения и пароли приложений.
Сохраните сведения для разбора
Запишите время обнаружения, подозрительные адреса, уведомления о входах и изменения настроек. По возможности сохраните журналы и заголовки писем до удаления следов. Это не должно задерживать меры по прекращению активного доступа: порядок действий согласует ответственный специалист.
Проверьте последствия
Просмотрите правила фильтрации, пересылки, папки отправленных и удалённых сообщений. Злоумышленник мог скрывать ответы или использовать почту для восстановления паролей CRM, хостинга и других систем. Составьте список таких сервисов и проверьте их отдельно.
Если клиентам ушли поддельные счета, предупредите затронутых получателей через подтверждённый канал. Не утверждайте, что данные не утекли, пока это не проверено. Если речь идёт о персональных данных, отдельно оцените применимые обязанности с профильным специалистом.
Когда можно возвращаться к обычной работе
Нужны не только успешный вход владельца, но и закрытые дополнительные пути доступа, проверенное устройство и устранённая причина. После восстановления некоторое время отслеживайте новые входы и изменения правил. Итогом разбора должен стать конкретный вывод: каким образом был получен доступ и что изменено, чтобы тот же сценарий не повторился.
